PSD3 ja avoin pankkitoiminta: miten maksupalvelupaketti muuttaa yritysten ja kuluttajien rajapintoja

Tausta: PSD2:sta maksupalvelupakettiin

Toinen maksupalveludirektiivi (PSD2, direktiivi (EU) 2015/2366) avasi pankkien maksutilit valtuutetuille kolmansille osapuolille ja teki vahvasta asiakkaan tunnistamisesta sähköisten maksujen perusvaatimuksen. Direktiivin soveltamisen aikana kävi kuitenkin ilmi useita puutteita: pankkien rajapintojen laatu vaihteli, kansalliset tulkinnat erosivat toisistaan, ja petokset siirtyivät teknisistä hyökkäyksistä yhä useammin käyttäjän harhauttamiseen.

Euroopan komissio esitti 28.6.2023 uuden maksupalvelupaketin, joka koostuu kolmannesta maksupalveludirektiivistä (PSD3) ja maksupalveluasetuksesta (Payment Services Regulation, PSR). Paketti ei hylkää PSD2:n perusajatusta, vaan tarkentaa sitä. Avoimen pankkitoiminnan kannalta tärkein muutos on, että rajapintoja, suostumuksia ja tunnistamista koskevat säännöt siirtyvät pääosin suoraan sovellettavaan asetukseen.

Tässä oppaassa käydään läpi paketin rakenteelliset muutokset ja se, miten ne vaikuttavat pankkien, maksulaitosten, kauppiaiden ja kuluttajien välisiin rajapintoihin. Taustaksi suosittelemme oppaitamme avoimen pankkitoiminnan verkostoista ja pikasiirroista.

Direktiivi ja asetus: uusi työnjako

PSD2 oli direktiivi, joka jokaisen jäsenvaltion oli saatettava osaksi kansallista lainsäädäntöään. Tämä johti eroihin muun muassa siinä, miten vahvan tunnistamisen poikkeuksia tai rajapintojen vaatimuksia tulkittiin. Maksupalvelupaketti jakaa sääntelyn kahteen osaan:

Kehittäjän ja palveluntarjoajan näkökulmasta tämä tarkoittaa, että samat rajapintaa koskevat säännöt pätevät jatkossa yhtenäisesti koko EU:ssa. Kansallisia eroja jää lähinnä toimilupa- ja valvontamenettelyihin.

Sähkörahalaitosten osalta muutos on merkittävä: niiden erillinen sääntelykehys yhdistetään maksulaitoksia koskevaan kehykseen. Oikeudellisten kommentaattorien mukaan nykyisten toimijoiden on haettava toimilupaa uudelleen siirtymäkauden aikana. Addleshaw Goddardin katsauksen mukaan siirtymäjärjestelyssä on porrastus 21, 27 ja enintään 30 kuukautta: määräaika hakemukselle, määräaika vaatimustenmukaisuuden osoittamiselle sekä mahdollinen jatko tilanteessa, jossa valvoja ei ole ehtinyt käsitellä ajoissa jätettyä hakemusta.

Lainsäädäntöprosessi ja aikataulu

Paketin käsittely on edennyt seuraavasti:

• 28.6.2023 – komissio julkaisi ehdotuksen.
• 27.11.2025 – Euroopan parlamentti ja neuvosto pääsivät alustavaan poliittiseen yhteisymmärrykseen.
• 22.4.2026 – jäsenvaltioiden pysyvien edustajien komitea (COREPER) hyväksyi trilogineuvottelujen tuloksen.
• 23.4.2026 – lopulliset kompromissitekstit julkaistiin (neuvoston asiakirjat ST-8222-2026-INIT, PSD3, ja ST-8221-2026-INIT, PSR).

Muodollinen hyväksyminen ja julkaiseminen Euroopan unionin virallisessa lehdessä olivat tätä kirjoitettaessa vielä kesken. Syyskuussa 2026 julkaistujen oikeudellisten katsausten mukaan julkaisua odotettiin vuoden 2026 loppuun mennessä. Kommentaattorien mukaan uudet säännöt tulevat pääosin sovellettaviksi noin 21 kuukauden kuluttua julkaisusta, mikä siirtää täysimääräisen soveltamisen vuoteen 2028.

Avoimen pankkitoiminnan rajapinnat

PSD2:n aikana pankeilla oli kaksi tapaa tarjota kolmansille osapuolille pääsy maksutileihin: erillinen rajapinta (dedicated interface) tai asiakkaan käyttöliittymän muokattu versio. Lisäksi erillisen rajapinnan rinnalle edellytettiin varajärjestelyä (fallback), ellei valvoja myöntänyt siitä vapautusta.

Kompromissitekstin 35 artiklan mukaan tilinpitäjän, joka tarjoaa verkossa käytettäviä maksutilejä, on tarjottava vähintään yksi erillinen rajapinta. Automaattinen oikeus käyttää muokattua asiakaskäyttöliittymää vaihtoehtona poistuu; poikkeuksia voidaan hakea valvojalta. Muutos selkiyttää kehittäjien asemaa: pääsy tilitietoihin ja maksutoimeksiantoihin tapahtuu ensisijaisesti dokumentoidun rajapinnan kautta.

Lisäksi paketti tiukentaa rajapintojen laatua koskevia vaatimuksia:

• Suorituskyky ja saatavuus. Rajapintojen suorituskyvylle ja käytettävyydelle asetetaan aiempaa yksityiskohtaisempia vaatimuksia, ja valvojien odotetaan puuttuvan puutteisiin viipymättä.
• Perusteltu rajoittaminen. Jos tilinpitäjä rajoittaa kolmannen osapuolen pääsyä maksutiliin, sen on esitettävä rajoitukselle yksilöity ja dokumentoitu peruste.
• Uudelleentunnistautuminen. Freshfieldsin katsauksen mukaan tilitietopalvelun käyttäjän on tunnistauduttava uudelleen 180 päivän välein, jotta pääsy säilyy voimassa.

Käytännössä muutos vähentää tarvetta näytön kaavintaan perustuviin ratkaisuihin ja parantaa ennustettavuutta. Toisaalta rajapintojen yhtenäistäminen eri pankkien välillä riippuu edelleen siitä, millaisia teknisiä standardeja markkina ja EBA niiden pohjaksi omaksuvat.

Suostumusten hallintanäkymä

Yksi kuluttajalle näkyvimmistä muutoksista on suostumusten hallintanäkymä (permission dashboard). Kompromissitekstin 43 artiklan mukaan tilinpitäjän on tarjottava käyttöliittymässään näkymä, jossa käyttäjä voi hallita tilitieto- ja maksutoimeksiantopalveluille antamiaan suostumuksia.

Teknisesti hallintanäkymä edellyttää, että tilinpitäjän ja kolmansien osapuolten välillä on luotettava tapa välittää tieto suostumusten tilasta. Kun käyttäjä peruuttaa suostumuksen pankissaan, palveluntarjoajan on saatava tieto ajoissa ja lopetettava tietojen haku. Tämä korostaa tapahtumapohjaisten ilmoitusten ja yhtenäisten tilakoodien merkitystä rajapinnoissa.

Vahva tunnistaminen ja saavutettavuus

Vahva asiakkaan tunnistaminen (SCA) säilyy maksupalveluiden turvallisuuden kulmakivenä, mutta maksupalveluasetus painottaa aiempaa enemmän sen saavutettavuutta. Freshfieldsin katsauksen mukaan kompromissiteksti sisältää muun muassa seuraavat periaatteet:

• Maksupalveluntarjoajien on tarjottava useita maksuttomia tunnistamistapoja, jotka soveltuvat myös henkilöille, joilla on vamma, rajalliset digitaidot tai ei älypuhelinta.
• Mikään tunnistamistapa ei saa olla riippuvainen yhdestä laitteesta tai teknologiasta, ellei käyttäjä hyväksy sitä.
• Tunnistaminen kahdella biometrisellä tekijällä sallitaan, kunhan tekijöiden riippumattomuus voidaan osoittaa valvojalle.
• Teknisten palveluntarjoajien, jotka toteuttavat tunnistamista maksupalveluntarjoajan puolesta, kanssa on tehtävä yksityiskohtaiset kirjalliset sopimukset.

Muutokset vaikuttavat suoraan tunnistuspalveluiden arkkitehtuuriin. Pelkkään mobiilisovellukseen nojaava malli ei enää riitä yksinään, vaan rinnalle tarvitaan vaihtoehtoisia tunnistusvälineitä. Biometriikan roolia käsittelemme tarkemmin oppaassa Biometrinen tunnistautuminen ja vahva asiakastunnistaminen sekä teknologia-alueella Turvalliset tunnistautumisprotokollat.

Petostentorjunta ja vastuunjako

Maksupalveluasetuksen merkittävimmät muutokset liittyvät petoksiin, joissa maksaja itse harhautetaan hyväksymään maksu. PSD2:n aikana tällaiset tapaukset jäivät usein maksajan vahingoksi, koska maksu oli teknisesti valtuutettu.

Maksunsaajan nimen tarkistus

EU:n pikamaksuasetus toi maksunsaajan varmennuksen euromääräisiin tilisiirtoihin. Maksupalveluasetus laajentaa periaatteen: maksupalveluntarjoajan on kompromissitekstin mukaan tarkistettava ennen tilisiirron toteuttamista, vastaako maksunsaajan nimi tilitunnistetta. Jos ristiriitaa ei ole näytetty maksajalle ja maksu ohjautuu tämän vuoksi väärälle tilille, palveluntarjoajalle syntyy palautusvelvollisuus.

Huijaus palveluntarjoajan nimissä

Kompromissitekstin mukaan maksupalveluntarjoajan on palautettava kuluttajalle koko summa, jos huijari on esiintynyt kyseisenä palveluntarjoajana sen omia kanavia käyttäen ja saanut kuluttajan hyväksymään maksun. Kuluttajan on ilmoitettava tapauksesta palveluntarjoajalle ja poliisille ilman aiheetonta viivytystä. Näyttötaakka kuluttajan petoksesta tai törkeästä huolimattomuudesta on palveluntarjoajalla.

Valtuuttamattomat maksut ja tiedonvaihto

Valtuuttamattomien maksujen palautusvelvollisuus säilyy, mutta palveluntarjoaja voi lykätä palautusta enintään 15 pankkipäivällä, jos sillä on objektiivisesti perusteltu epäily maksajan petoksesta. Lisäksi paketti mahdollistaa petoksiin liittyvien tietojen jakamisen maksupalveluntarjoajien välillä, mikä edellyttää huolellista tietosuojasuunnittelua.

Petostentorjunnan painopiste siirtyy tunnistamisesta kohti koko maksupolun riskienhallintaa: kuka maksunsaaja on, miten maksaja on päätynyt maksamaan ja mitä tietoja palveluntarjoajien välillä jaetaan.

Miten valmistautua

Vaikka soveltaminen alkaa vasta siirtymäajan jälkeen, muutokset vaikuttavat järjestelmiin, joiden kehittäminen vie aikaa. Eri toimijoiden kannattaa arvioida ainakin seuraavia asioita:

1. Tilinpitäjät: erillisen rajapinnan suorituskyky, saatavuuden mittaaminen, suostumusten hallintanäkymän toteutus sekä rajoitusten dokumentointi.
2. Tilitieto- ja maksutoimeksiantopalvelut: suostumusten elinkaaren hallinta, uudelleentunnistautumisen käyttäjäpolut ja reagointi pankin hallintanäkymässä tehtyihin peruutuksiin.
3. Maksupalveluntarjoajat yleisesti: vaihtoehtoiset SCA-tavat, teknisten palveluntarjoajien sopimukset, maksunsaajan nimen tarkistus ja petostietojen jakaminen.
4. Sähkörahalaitokset: toimilupastrategia ja siirtymäkauden määräajat.
5. Kauppiaat: laskutuksessa käytetyn nimen yhdenmukaisuus tilin haltijan nimen kanssa, jotta nimen tarkistus ei aiheuta asiakkaille tarpeettomia varoituksia.

Paketin lopullinen vaikutus riippuu virallisessa lehdessä julkaistavasta tekstistä ja EBA:n teknisistä standardeista. Päivitämme tätä opasta, kun virallinen teksti on saatavilla.

Lähteet ja lisälukemista

1. Direktiivi (EU) 2015/2366 (PSD2), EUR-Lex
2. Euroopan unionin neuvosto: tiedotteet ja asiakirjat
3. Freshfields: PSD3/PSR – what the EU’s new payments rules mean for your business
4. Addleshaw Goddard: PSD3 – a new era for EU payment services regulation (syyskuu 2026)
5. Morrison Foerster: PSD3 and the Payment Services Regulation – key developments